On Wed, Dec 28, 2005 at 06:33:45PM +0100, Rob Sterenborg wrote:
> Bij de start van elke pagina test je of er een sessie met een realm ID
> bestaat. Zo niet, dan genereer je er een.
> Met deze realm ID authentisieer je de user (login met user/pass).
> Door op logout te klikken, genereer je een eerst nieuwe realm ID en
> daarna een 401 header. Dan ben je uitgelogd omdat de user/pass niet bij
> de nieuwe realm horen. Of en zo ja hoe lang de oude AUTH info blijft
> bestaan weet ik niet.
Ja, maar zodra je dan op logout klikt, krijgt de gebruiker weer zo'n
raampje om een wachtwoord in the typen voor het nieuwe realm. Wellicht
kan je de gebruiker uitleggen dat hij gewoon op escape kan drukken,
maar is dat wel de moeite waard?

Daarom wordt dit soort authenticate vooral gebruikt by plaatsen waar je
nooit eigenlijk uit hoeft te loggen. Want als dat niet hoeft, dan is
het ongeloofelijk makkelijk in te stellen, en Apache kan RADIUS of PAM
of een database gebruiken om het te checken.

De fout ligt echt bij de browser. Als iemand zorgde dat de browesr op
een (zeg maar) 210 response alle wachtwoorden zou vergeten dan zouden
wij allemaal blij zijn....
-- 
Martijn van Oosterhout   <kleptog@svana.org>   http://svana.org/kleptog/
> Patent. n. Genius is 5% inspiration and 95% perspiration. A patent is a
> tool for doing 5% of the work and then sitting around waiting for someone
> else to do the other 95% so you can sue them.

-- Attached file included as plaintext by Ecartis --

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQFDss6qIB7bNG8LQkwRAr9PAJ9X30QvY/yvds84l9hTyjqh0MyHzgCfX/j5
uV6XkUIKVFlb8HAtYvPnBPo=
=WTnq
-----END PGP SIGNATURE-----



